Tillämpningen börjar december 2027

EU:s Cyber Resilience Act (CRA)

EU-förordning 2024/2847 fastställer cybersäkerhetskrav för produkter med digitala element. Här är vad du behöver veta.

Vad är Cyber Resilience Act?

CRA kräver att företag dokumenterar sin programvaruleveranskedja, övervakar sårbarheter under hela en produkts livscykel och bibehåller tekniska filer i 10 år. Det är mycket pappersarbete.

Publicerad som förordning (EU) 2024/2847 täcker den hårdvaru- och mjukvaruprodukter som säljs i EU: IoT-enheter, industriella styrsystem, fristående programvara och mer.

Förordningen kräver Software Bills of Materials (SBOMs), processer för sårbarhethantering, riskbedömningar och teknisk dokumentation. För hårdvaruprodukter krävs även HBOMs. VEX-dokument kommunicerar sårbarhetsstatus till nedströmsanvändare.

Viktiga efterlevnadsfrister

11 september 2026

Sårbarheterapportering börjar

Tillverkare måste rapportera aktivt utnyttjade sårbarheter till ENISA och nationella myndigheter inom 24 timmar efter att de blivit medvetna. Detaljerade rapporter ska lämnas inom 72 timmar.

11 december 2027

Fullständig CRA-tillämpning

Alla produkter med digitala element måste uppfylla grundläggande cybersäkerhetskrav. Produkter som inte uppfyller kraven kan inte säljas på EU-marknaden.

Sanktioner vid bristande efterlevnad

CRA inför betydande ekonomiska sanktioner vid bristande efterlevnad. Marknadsövervakningsorgan kan också beordra produktåterkallelser och förbjuda försäljning på EU-marknaden.

€15M
eller 2,5 % av global omsättning
Grundläggande krav
€10M
eller 2 % av global omsättning
Övriga skyldigheter
€5M
eller 1 % av global omsättning
Vilseledande information

Produktklassificering

CRA kategoriserar produkter baserat på deras cybersäkerhetsrisknivå. Produkter med högre risk möter striktare bedömning av överensstämmelse-krav.

Kategori Exempel Bedömning av överensstämmelse
Standard De flesta programvaruapplikationer, IoT-enheter, konsumentelektronik Självbedömning tillåten
Viktig klass I Identitetshantering, webbläsare, lösenordshanterare, VPN:er, nätverkshantering Självbedömning om harmoniserade standarder används; annars tredjepartsbedömning
Viktig klass II Hypervisorer, containerruntimes, brandväggar, intrångsdetektion, säkra element Tredjepartsbedömning av överensstämmelse krävs
Kritisk Hårdvarusäkerhetsmoduler, smartkortsläsare, säkra uppstartssystem Strängaste krav (bilaga IV)

Dokumentationskrav (bilaga VII)

Tillverkare måste sammanställa och underhålla teknisk dokumentation som visar efterlevnad av grundläggande krav. Denna dokumentation måste bevaras i minst 10 år efter att produkten har placerats på marknaden.

Materialförteckningar (SBOM/HBOM)

SBOM:er som listar alla programvarukomponenter och beroenden. För hårdvaruprodukter listar HBOM:er hårdvarukomponenter. VEX-dokument kommunicerar sårbarhetsstatus. Måste följa CycloneDX- eller SPDX-standarder enligt TR-03183.

Riskbedömning

Cybersäkerhetsriskbedömning som täcker potentiella hot, sårbarheter och de åtgärder som vidtagits för att hantera dem.

EU-försäkran om överensstämmelse

En formell försäkran om att produkten uppfyller alla tillämpliga CRA-krav, undertecknad av en behörig representant.

Användardokumentation

Instruktioner för säker installation, drift och underhåll. Måste inkludera information om supportperioden och säkerhetsuppdateringar.

Policy för sårbarhetshantering

Dokumenterad process för att identifiera, spåra och åtgärda sårbarheter. Måste inkludera samordnade förfaranden för avslöjande.

Testrapporter

Bevis på säkerhetstestning, inklusive penetrationstester, kodgranskningar och verifiering av grundläggande krav.

ENISA-sårbarheterapportering

Från september 2026 måste tillverkare rapportera aktivt utnyttjade sårbarheter till ENISA (EU:s byrå för cybersäkerhet) och deras nationella CSIRT inom strikta tidsramar.

Underlåtenhet att rapportera inom de föreskrivna tidsramarna kan resultera i betydande sanktioner och skada på ryktet.

Inom 24 timmar

Tidig varning - Inledande meddelande om en aktivt utnyttjad sårbarhet eller allvarlig incident. Grundläggande information om hotet.

Inom 72 timmar

Detaljerad rapport - Tekniska detaljer, berörda produkter, allvarlighetsbedömning och initiala åtgärdssteg.

Inom 14 dagar

Slutrapport (Sårbarheter) - Fullständig analys, grundorsak, fullständig åtgärd och lärdomar.

Inom 1 månad

Slutrapport (Incidenter) - För allvarliga säkerhetsincidenter ska en slutrapport lämnas inom en månad.

CRA och EU:s maskindirektiv

Från januari 2027 kräver EU:s maskindirektiv (2023/1230) cybersäkerhetsbevis i din tekniska fil (bilaga III §1.1.9). Från december 2027 kräver CRA fullständig livscykelproduktssäkerhet. Båda förordningarna gäller för maskiner med PLC:er, HMI:er, inbyggda styrenheter eller nätverksanslutning.

CRA skäl 53 bekräftar att produkter som omfattas av maskindirektivet också måste efterleva CRA. CRA-efterlevnadsbevis kan tillgodose maskindirektivets cybersäkerhetskrav — om de är korrekt strukturerade.

Läs mer i vår guide för maskinbyggare

Hur CRA Evidence hjälper

CRA gäller på olika sätt beroende på din roll i leveranskedjan. CRA Evidence anpassar sig till var och en.

CRA-leveranskedjediagram med tillverkar-, importör- och distributörsroller CRA-leveranskedjediagram med tillverkar-, importör- och distributörsroller

CRA-skyldigheter varierar beroende på roll i leveranskedjan

Tillverkare

Artikel 13 lägger de tyngsta skyldigheterna på dig: SBOMs, sårbarhetshantering, säkerhetsuppdateringar, teknisk dokumentation.

  • SBOM-validering (TR-03183)
  • Sårbarhetsövervakning
  • Export av teknisk fil
  • Försäkran om överensstämmelse

Importörer

Artikel 19 gör dig ansvarig för att verifiera tillverkarens efterlevnad innan du säljer i EU.

  • Verifieringschecklistor
  • Tillverkarspårning
  • Bevislagring
  • Revisionsspår

Distributörer

Skyldigheterna i artikel 20 är lättare: verifiera CE-märkning och hantera produkter som inte uppfyller kraven på rätt sätt.

  • Due diligence-checklistor
  • Leverantörsspårning
  • CE-verifiering
  • Incidenteskalering